Windows 7 | Как заблокировать удаленный IP после n неудачных попыток входа?

Question

[Константин]

Недавно появилась такая проблема:


csrss.exe в какой–то момент начинает постоянно перезапускаться. Что–то поделает там себе, и бац — перезапустился. И так постоянно.

Я посмотрел Process Monitor’ом, чем он там так сильно занят. Подозрительной (вирусной) активности я не заметил.


Потом я скачал Process Explorer и заметил что csrss.exe инициирует вызов winlogon.exe, а значит это обработка попытки входа в систему.

Так как локально я не пытаюсь зайти каждую секунду, я вспомнил что у меня белый IP и 3389 торчит наружу. Получается что меня тупо брутят на порт 3389, что сказывается на общей производительности системы.


Отсюда вопрос: как заблокировать удаленный IP после 5-ти неудачных попыток входа стандартными средствами Windows 7?

Answer 1

[Sergey]

В такой постановке вопроса задача не решается. Попробуй просто сделать фильтр по внешним адресам, добавив туда только свои. Ну или ставить сторонний файервол.

Comments

[Константин]

Ещё как решается.
Мне уже подсказали. Через Windows PowerShell выбирается журнал аудита, парсится, и на основе результата принимается решение о занесении правила в файрвол.
Писать только лень.

[Sergey]

ХЗ, в журналах Win7 я не увидел информации про ip-адрес клиентов RDP. Специально сейчас зашел на удаленную тачку с Win7 и посмотрел журналы безопасности, системы и службы RDP. Ни-че-го.

[Константин]

Win7 пишет в логи безопасности, IP клиента при удачной или неудачной авторизации через RDP

Answer 2

[Андрей]

Можно попробовать сменить стандартный порт RDP на какой-нибудь другой. http://support.microsoft.com/kb/306759

Comments

[Кирилл Мамаев]

легко просканить все, и определить, что на одном из них висит именно RDP

[ZimM]

вот только злоумышленники, тупо брутящие порт, этим заниматься не станут

Answer 3

[Кирилл Мамаев]

Если дома — то наделать правил для фаервола.

Если в конторе — то вообще в чистом виде не выпускать RDP в инет.

Я как-то поставил таймаут 40 минут после неудачного логона (три попытки). Дело было в юниксе, эхо-ответа при вводе пароля нет — три раза пришлось выжидать таймаут, пока не понял, что клавиша на клавиатуре не всегда срабатывала